(01.05.2014)Zwirm schrieb: @O-Saft-Killer
Ich bin weit davon entfernt ein Experte zu sein was Virenscanner und dergleichen betrifft tippe aber mal darauf das dein Avira auch das Verhalten eines Programms bewertet, und in dem Fall eine entsprechende Auffälligkeit gefunden hat.
Jein. Teilweise. Sie gucken, was das Programm kann, nicht, was es macht. Und gucken dann, ob sie diese Funktion aus anderen Viren kennen. Das ist aber... ineffizient.
Kann man sich auf die echte Welt übertragen so vorstellen: „Person 1 schafft 100m in 40 Sekunden. Person 2, der in letzter Zeit viele Banken ausgeraubt hat, auch. Person 1 könnte also Person 2 sein“.
Eine Alternative ist, dass man nicht nach Funktion, sondern nach Aussehen geht. Das ist eindeutig, lässt sich aber fälschen. Bei Dateien bindet man die „MD5-Prüfsumme“ und vergleicht sie mit einer Datenbank. Nahezu jede Datei hat eine eindeutige Summe; mit entsprechend hoher Rechenleistung kann man aber auch die fälschen, dass sie plötzlich als sicher gilt.
Beispiel: Virus hat Prüfsumme 1. Avira kennt diese Summe als gefährlich und meldet Alarm. Der Virus kann aber geändert werden, dass er 5, 6, 12 oder 40 hat. Die kennt Avira nicht und ist misstrauisch. Mit verdammt hoher Rechenleistung kann sie zu 72 geändert werden, eine Zahl, die Avira von einem anderem Programm kennt, dass sie als sicher einstuft.
Die Summen sind übrigens nicht Zahlen, sondern Strings mit 16 Zeichen Länge, dargestellt als String mit 32 Zeichen Länge 0-9, a-f
Mit ähnlichen Methoden habe ich früher gearbeitet, um für ein kleines Projekt ein „Hack-Erkennungssystem“ zu programmieren. Und ich habe früher AVs gerne auf die Probe gestellt

Aber das ist eine andere Geschichte und soll woanders erzählt werden